Referentie systeemtabel auditlog

Belangrijk

Deze systeemtabel bevindt zich in Openbare Preview.

Dit artikel bevat een overzicht van het schema van de auditlogboektabel en bevat voorbeeldquery's die u kunt gebruiken met de tabel auditlogboeksysteem om algemene vragen over accountactiviteit te beantwoorden. Voor informatie over gebeurtenissen in auditlogboeken, zie de naslaginformatie over diagnostische logboeken.

tabelpad: deze systeemtabel bevindt zich op system.access.audit.

Overwegingen voor auditlogboeken

  • De meeste auditlogboeken zijn alleen beschikbaar in de regio van de werkruimte.
  • Auditlogboeken op accountniveau registreren workspace_id als 0.
  • Wanneer je een werkruimte verwijdert, verwijdert Azure Databricks de auditgebeurtenissen van die werkruimte die ouder zijn dan 14 dagen van system.access.audit.
  • Als de __databricks_internal catalogus wordt weergegeven in controlegebeurtenissen of andere systeemtabellen, is het een gereserveerde catalogus die Azure Databricks gebruikt om de interne status op te slaan. Zie de __databricks_internal catalogus.
  • Bij sommige gevallen worden sleutels die request_params SQL-definities bevatten weggelaten, tenzij je accountbeheerder bent of lid van de databricks_pii_access groep. Zie Parameters voor gemaskeerde verzoeken Toegang krijgen.

Systeemschema van auditlogtabel

De systeemtabel van het auditlogboek maakt gebruik van het volgende schema:

Kolomnaam Gegevenstype Beschrijving Voorbeeld
account_id tekenreeks Id van het account 23e22ba4-87b9-4cc2-9770-d10b894bxx
workspace_id tekenreeks Id van de werkruimte 1234567890123456
version tekenreeks Schemaversie van auditlogboek 2.0
event_time tijdstempel Tijdstempel van de gebeurtenis. Tijdzonegegevens worden vastgelegd aan het einde van de waarde met +00:00 die UTC-tijdzone vertegenwoordigen. 2023-01-01T01:01:01.123+00:00
event_date datum Kalenderdatum waarop de actie heeft plaatsgevonden. Als u de queryprestaties wilt verbeteren, filtert u op event_date in plaats event_timevan . 2023-01-01
source_ip_address tekenreeks IP-adres waar de aanvraag afkomstig is 10.30.0.242
user_agent tekenreeks Oorsprong van aanvraag Apache-HttpClient/4.5.13 (Java/1.8.0_345)
session_id tekenreeks Id van de sessie waaruit de aanvraag afkomstig is 123456789
user_identity Struct Identiteit van de initiërende aanvraag van de gebruiker {"email": "user@domain.com",
"subjectName": null}
service_name tekenreeks Servicenaam initieert verzoek unityCatalog
action_name tekenreeks Categorie van de gebeurtenis die is vastgelegd in het auditlogboek getTable
request_id tekenreeks Id van aanvraag ServiceMain-4529754264
request_params kaart Overzicht van sleutel-waardeparen die alle aanvraagparameters bevat. Het hangt af van het type verzoek. Voor sommige gebeurtenissen worden sleutels die SQL-definities bevatten weggelaten, tenzij je accountbeheerder bent of lid van de databricks_pii_access groep. Zie Parameters voor gemaskeerde verzoeken Toegang krijgen. [["full_name_arg", "user.chat.messages"],
["workspace_id", "123456789"],
["metastore_id", "123456789"]]
response Struct Structuur van de reactie terugkeerwaarden {"statusCode": 200, "errorMessage": null,
"result": null}
audit_level tekenreeks Gebeurtenis op werkruimte- of accountniveau ACCOUNT_LEVEL
event_id tekenreeks Id van de gebeurtenis 34ac703c772f3549dcc8671f654950f0
identity_metadata Struct Identiteiten die betrokken zijn bij de actie, waaronder run_by en run_as. Zie Identiteitsmetadata-referentie en Auditinggroep toegewijde compute-activiteit. {"run_by": "example@email.com",
"run_as": "example@email.com"}

naslaginformatie voor metagegevens van identiteit

De identity_metadata struct heeft het volgende schema:

{
  "run_by": "string",
  "run_as": "string",
  "run_by_display_name": "string",
  "run_as_display_name": "string",
  "acting_resource": "string",
  "acting_resource_type": "string",
  "acting_resource_display_name": "string"
}

De struct legt de identiteiten vast die betrokken zijn bij een actie:

  • run_by is de identiteit die het evenement initieerde, en run_as is de identiteit die wordt gebruikt voor autorisatie. run_by_display_name en run_as_display_name zijn hun door mensen leesbare weergavenamen.
  • acting_resource, acting_resource_type, en acting_resource_display_name worden gevuld wanneer een bron namens een gebruiker handelt, zoals een OAuth-app. acting_resource is het resourcepad, acting_resource_type is het type hulpbron, en acting_resource_display_name is de door mensen leesbare naam (voor een OAuth-app, de naam van de app).

Het acting_resource pad heeft een van de volgende vormen:

  • accounts/<account_id>/published-app-client-ids/<client_id> wanneer de actor een gepubliceerde OAuth-app is, bijvoorbeeld databricks-cli.
  • accounts/<account_id>/oauth2/custom-app-integrations/<client_id> wanneer de actor een klant OAuth-app is, waar <client_id> is een UUID.

Toegang tot gemaskeerde verzoekparameters

Sommige auditgebeurtenissen slaan SQL-definities op in request_params. Die sleutels worden weggelaten, tenzij je accountbeheerder bent of lid van de databricks_pii_access account-level groep:

  • function_info
  • view_definition
  • definition_json
  • managed_definition

Andere sleutels in request_params en alle andere kolommen blijven ongewijzigd. Toegang tot niet-gemaskeerde waarden gebruikt de databricks_pii_access groep. Om de groep aan te maken en het lidmaatschap en de rechten te beheren, zie Create and manage the databricks_pii_access group.

  • Laatst bijgewerkt om